《现代企业风险管理审计》读书笔记

《现代企业风险管理审计》

读书报告

正如《现代企业风险管理审计》所述，审计业界并非尚未认识到其面临风险的真正根源，目前需要做的是研究并实施如何在审计行为中识别，控制风险，并使该理念和模式体现在审计各阶段具体的审计程序中，而不是仅仅在审计计划阶段对固有风险进行简单的分析。要做到这一点，传统的审计理念和模式，由于其更多的是为了关注财务报表风险而关注报表和企业帐目，而不是从企业经营风险，管理层风险管理的角度来关注财务报表，因而无法实现审计风险控制的有效性，也使审计在为整个财富价值链中的价值无法进一步得到体现。传统的审计方法除了在理念存有不足外，还欠缺足够的可以用来识别现代企业经营风险及其控制的审计工具，模型和方法; 而企业风险管理审计模式，正是从企业经营风险，风险管理角度分析审计风险，实施审计程序，从财务报表风险的源头——企业经营风险角度去关注财务报表风险，从而为风险降至可接受水平提供有效保障，并实现审计目标同整个商业社会的共同目标达到一致。

《现代企业风险管理审计》是CPA视角的中国第一部现代企业风险管理著作。《现代企业风险管理审计》借鉴国内外风险管理方面的知识，在风险审计的概念、目标、程序以及专业判断等方面有一定创新和突破；在具体风险的审计上，精心编制国内外企业典型案例，具有可操作性。并提出了企业风险管理审计模式，从企业经营风险，风险管理角度分析审计风险，实施审计程序，财务报表风险的源头——企业经营风险角度去关注财务报表风险，从而为风险降至可接受水平提供有效保障，并实现审计目标同整个商业社会的共同目标达到一致。书中提供了大量的风险管理审计工具，模型和方法以使新的审计理念可付诸实践。

一、《现代企业风险管理审计》强调内部审计在企业风险管理中角色和作用

《现代企业风险管理审计》第2页对内部审计在企业风险管理中角色和作用

引用了《内部审计实务标准》的观点认为，内部审计在企业风险管理中角色和作用有两个方面：一是协助风险估算程序；二是对风险管程序的评价，对风险管理的恰当程度作出保证。这一观点在书中多次出现，反复强调。作者则认为“内部审计师通过对主体企业风险管理的恰当性和有效性进行检查、评价、报告和提出改进建议，来协助管理当局和董事会或审计委员会。内部审计师协会的准则还强调内部审计的适当作用，清楚地指出内部审计师应该对他们所审计的活动持客观的态度。”

我认为内部审计在企业风险管理中应当保持客观的态度，通过评价、报告和提出改进建议，来协助管理当局和董事会或审计委员会；在评价企业风险管理的有效性方面起着关键性作用。而不赞同《内部审计实务标准》对内部审计角色和作用的观点，内部审计要保持客观，就需要相对独立，不能又当裁判又当运动员，不能直接参与企业风险管理的风险估算程序。同时内部审计的资源难以实现“对风险管程序的评价，对风险管理的恰当程度作出保证”的作用。特别是“作出保证”更是不现实的；如果作为理论上的追求，也是无意义的。能作出“保证”的观点只能误导管理当局和董事会或审计委员会赋予内部审计不恰当的地位和权限，占用更多的资源。正如作者在书第3页的表述：客观地讲，要求每一位审计师者成为风险管理等各个方面的专家是不现实的。

二、企业风险管理模型

《现代企业风险管理审计》大都采用了澳大利亚—新西兰联合委员会的风险管理模型。在读了卓继民所著《现代企业风险管理审计》后，作为CPA的我比较认同《现代企业风险管理审计》选用的风险管理模型，即《现代企业风险管理审计》第77页所述的原安达信咨询公司经营风险管理框架图。

三、含混的风险审计重要性概念

《现代企业风险管理审计》第121页提出的风险审计重要性概念。“风险审计重要性是指被审计单位所处的环境、管理和业务活动，风险识别、分析评估及风险处理方法的任何方面，若存在影响组织基本目标实现的潜在可能，审计师则可判定该风险是重要的，否则，则可判定为不重要或判定为保留风险或剩余风险。”这一概念可能是由审计重要性在风险审计中的运用。审计重要性是指被审计单位会计报表中错报或漏报的严重程度，这一程度在特定环境下可能影响会计报表使用者的判断或决策。我认为风险审计重要性概念是含混的，将“重要性”定义为“潜在可能”很难理解。我认为，风险审计重要性是指被审计单位潜在的可能负面影响目标实现的严重程度，这一程度可以通过估计损失额、发生概率和发生频率进行界定。

四、具体风险管理审计

原安达信将风险定义为，环境风险、过程风险和决策所需信息风险三大类，细分七十三种常见的风险。《现代企业风险管理审计》在第三篇介绍了风险审计的理论与专业判断、规划策略和审计框架，第四至八篇介绍了营销风险、产品开发与品牌创立风险、企业财务风险、企业组织风险和企业内部控制系统风险等5种具体风险的审计，其审计思路受束于前述所选用风险管理模型和第42页所述的风险适管理的前提与基础研究：

《现代企业风险管理审计》，在了解企业经营识别经营风险时，提供了一个整体框架用于了解企业风险管理行为的有效性，并且分析企业的情况和信息流程。使用的主要分析工具包括：(1) 企业分析框架； (2) 企业风险模型； (3) 企业信息流程； (4) 企业绩效评价分析；(5) 企业整体风险管理有效性评价。在

企业风险控制评价时，提供了一个完整的框架用于评估管理层如何对信息流程和特定估计的相关风险进行控制。使用的主要工具包括：（1）风险控制流程框架；（2）风险控制标准及控制矩阵；（3）信息可信度测试；（4）风险控制识别；（5）评价风险控制的设计；（6）测试风险控制；（7）控制信赖与否之决策树。作为一名学习了五年会计的学生，还是比较容接受《现代企业风险管理审计》的观点，同时认为《现代企业风险管理审计》介绍的工具能够全面地了解企业经营、识别经营风险；评估管理层如何对信息流程和特定估计的相关风险进行控制，为确定和管理剩余风险的供了支持。